Web Uygulama Sızma Testi
Web uygulama sızma testi, bir web uygulamasının kimlik doğrulama, yetkilendirme, veri işleme ve iş akışı katmanlarının gerçek saldırgan teknikleriyle kontrollü biçimde test edilmesidir. Nokta Guard bu testi OWASP Web Security Testing Guide (WSTG) ve OWASP Top 10 kategorileri temelinde, ağırlıklı olarak manuel yürütür. Her bulgu kanıt, CVSS puanı ve uygulanabilir çözüm önerisiyle raporlanır.
Kurumsal verinin büyük bölümü web uygulamalarında işlenir. Otomatik tarayıcılar bilinen teknik açıkları bulur; ancak indirim, onay veya yetki adımlarının atlanması gibi iş mantığı hatalarını ancak uygulamayı bir kullanıcı gibi anlayan bir uzman ortaya çıkarabilir.
Otomatik tarama yalnızca başlangıçtır; bulguların tamamı uzman tarafından doğrulanır ve yanlış alarmlar rapora girmez.
Kontrol Kapsamı
alan · OWASP WSTG · PTES
Kimlik doğrulama ve oturum yönetimi
Parola politikası, çok faktörlü doğrulama, oturum sabitleme, eş zamanlı oturum ve token yaşam döngüsü kontrolleri.
Yetkilendirme ve erişim kontrolü
Yatay ve dikey yetki yükseltme, güvensiz doğrudan nesne referansı (IDOR) ve her ekranda yetkinin sunucu tarafında uygulanıp uygulanmadığı.
Girdi doğrulama ve enjeksiyon
SQL, NoSQL, komut ve şablon enjeksiyonu, siteler arası betik çalıştırma (XSS) ve sunucu taraflı istek sahteciliği (SSRF).
İş mantığı ve iş akışı
Atlanan onay adımları, değiştirilen fiyat ve miktarlar, tekrar oynatılan tek seferlik işlemler ve eş zamanlı isteklerle oluşan yarış durumları.
API ve web servisleri
Uygulamanın kullandığı REST, GraphQL ve SOAP uç noktalarında nesne düzeyinde yetki ve aşırı veri ifşası.
Yapılandırma ve yayın ortamı
Güvenlik başlıkları, TLS ayarları, açıkta kalan yönetim panelleri, varsayılan hesaplar ve unutulmuş yedek veya test dosyaları.
İstemci tarafı güvenlik
DOM tabanlı XSS, Content Security Policy, CORS, tıklama korsanlığı (clickjacking) ve tarayıcıda bırakılan hassas veriler.
Kriptografi ve veri koruma
Aktarımda ve depolamada şifreleme, parola özetleme, anahtar yönetimi ve kişisel verinin maskelenmesi.
Hata yönetimi ve kayıt
İç bilgiyi sızdıran hata mesajları ve güvenlik olaylarının kayıt altına alınıp alınmadığı.
Test manuel ağırlıklıdır. Otomatik araçlar yalnızca saldırı yüzeyini haritalamak için kullanılır; uzmanlarımız kimlik doğrulama, yetki, oturum ve iş mantığını uygulamadaki her kullanıcı rolünün bakış açısından tek tek test eder. Gri kutu yaklaşımı en sık tercih edilen yöntemdir; her rol için test hesabı istenir.
Süre; uygulamadaki ekran ve uç nokta sayısına, kullanıcı rollerine ve test yaklaşımına göre belirlenir. Net takvimi kapsam görüşmesinden sonra teklifte paylaşırız. Kritik bir açık bulunduğunda raporu beklemeden sizinle hemen paylaşılır.
Yönetici özeti ve genel risk değerlendirmesi. Her bulgu için etkilenen adres, kanıt (istek/yanıt, ekran görüntüsü), yeniden üretim adımları ve CVSS puanı. Önceliklendirilmiş çözüm önerileri. Düzeltmelerin ardından doğrulama testi raporu.
Müşteri verisi işleyen portallar, e-ticaret siteleri, internet bankacılığı ve kurum içi iş uygulamaları için uygundur. Yeni bir uygulama canlıya alınmadan önce, büyük bir sürüm değişikliğinden sonra ve düzenleyici kurum ya da müşteri talebiyle yapılması önerilir.
SSS
Size hızlı ve net yanıtlar sunmak için en sık sorulan soruları bir araya getirdik.
Web uygulama sızma testi ne kadar sürer?
Test canlı ortamda mı yapılır?
Kaynak kod erişimi vermemiz gerekir mi?
Düzeltmeler test sonrasında doğrulanıyor mu?
Bu test hangi yükümlülükleri karşılar?
Web uygulama güvenliği; denetim, veri koruma ve kritik altyapı yükümlülüklerinin ortak kontrol alanıdır.
İlgili içerikler
Testten önce kapsamı netleştirmenize ve bulguları doğru önceliklendirmenize yardımcı olacak seçili içerikler.
İlgili Sayfalar
Finans sektöründe sızma testi ve denetime hazırlık
BDDK, SPK ve TCMB düzenlemelerine tabi kurumlar için test kapsamı, raporlama beklentileri ve sık sorulan sorular tek sayfada.
01
Giriş ve sektörel güvenlik yaklaşımı
Finans kurumları; müşteri verisi, ödeme akışları ve hizmet sürekliliği yükümlülükleri nedeniyle en sıkı denetlenen sektördür. BDDK'nın Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmeliği, bankaların bağımsız ekiplere düzenli olarak sızma testi yaptırmasını şart koşar.
- Yılda en az bir kez
- Dış, yetkin ekip
- İnternet, mobil, iç ağ
02
Sektöre özgü riskler
Finans kurumlarında saldırganların en sık hedeflediği alanlar.
-
Hesap ele geçirme
Kimlik doğrulama ve oturum açıkları üzerinden müşteri hesaplarına yetkisiz erişim ve dolandırıcılık.
-
Ödeme ve kart verisi
Ödeme akışının manipülasyonu, kart verisi sızıntısı ve işlem bütünlüğünün kaybı.
-
Açık bankacılık API'leri
Üçüncü taraf entegrasyonlarında yetkilendirme açıkları ve aşırı veri paylaşımı.
03
Test kapsamı konuları
Kapsam, kurumun hizmet kanalları ve mimarisine göre birlikte belirlenir.
- İnternet ve mobil bankacılık uygulamaları
- Ödeme sistemleri ve kart altyapısı
- Açık bankacılık ve kurumsal API'ler
- Dış ağ ve internete açık servisler
- İç ağ, Active Directory ve yetki yükseltme
- SWIFT ve kritik iş uygulamaları
- Sosyal mühendislik ve oltalama testleri
- Çağrı merkezi ve IVR güvenliği
04
Raporlama ve denetimde kullanım
Rapor, iç denetimlerde ve BDDK incelemelerinde doğrudan kanıt olarak kullanılacak şekilde hazırlanır.
- Yönetici özeti ve genel risk puanı
- Her bulgunun ilgili mevzuat maddesiyle eşleştirilmesi
- Kanıt ekran görüntüleri ve yeniden üretim adımları
- Önceliklendirilmiş düzeltme planı
- Doğrulama testi sonucu ve kapanış yazısı
Sızma Testi Raporu
- Kritik
- Yüksek
- Orta
- Düşük
05
Sektöre özgü SSS
BDDK'ya göre sızma testi ne sıklıkla yapılmalı?
BDDK sızma testini bankanın kendi ekibi yapabilir mi?
BDDK sızma testi hangi sistemleri kapsamalı?
BDDK sızma testi ne kadar sürer?
06
Ön seçimli teklif formu
Sayfa bağlamı forma otomatik taşınır; ziyaretçinin hizmet seçmesi gerekmez.
“Talep edilen hizmet” ve “Sektör” alanları bu sayfadan önceden seçilir.
Forma Git